Vulnerabilidade no Excel Permite Vazamento de Dados via Integração com Copilot

A falha CVE-2026-26144 não é um bug comum de planilha: é uma falha de neutralização inadequada de entrada que transforma o Excel em um vetor de XSS dentro de ambientes corporativos com Microsoft 365 Copilot habilitado. O risco real está na arquitetura de permissões, o Copilot, ao processar o arquivo para geração de resumos ou visualizações, executa scripts incorporados sem validação, usando seu próprio contexto de rede legítimo para exfiltrar dados. Isso contorna firewalls e DLPs que confiam no tráfego do Office como autorizado.

Organizações que adotaram o Copilot Agent com acesso amplo a pastas compartilhadas, OneDrive corporativo ou SharePoint estão expostas mesmo sem interação humana. Não se trata de engenharia social: basta que um arquivo malicioso entre no fluxo de trabalho, por e-mail, upload em repositório ou integração com sistemas ERP, para que o dano comece automaticamente. A Microsoft classificou a falha como crítica (CVSS 7.5), mas o impacto operacional vai além da pontuação: ela invalida pressupostos de segurança baseados em 'acesso controlado' quando IA entra na cadeia de processamento de documentos.

Essa vulnerabilidade muda a forma como equipes de TI devem governar ferramentas de IA em nuvem. Não basta auditar prompts ou treinar usuários: agora é preciso revisar políticas de execução de conteúdo no Excel, limitar escopos de acesso do Copilot Agent (ex.: bloquear leitura de células sensíveis via etiquetas de classificação) e monitorar egressos de rede originados de processos do Office. Em ambientes com compliance rigoroso (LGPD, ISO 27001, PCI-DSS), essa falha representa um ponto cego crítico, pois os logs de acesso ao Copilot não registram exfiltração, só requisições legítimas. A correção exige mais do que atualizar: exige reavaliar a postura de 'confiança implícita' em agentes de IA integrados a aplicações de produtividade.